Kubernetes遥测功能完全危害集群
内容提要
Kubernetes存在一个漏洞，允许具有读取权限的用户通过特定服务账户访问Kubelet，执行任意命令。安全研究员Graham Helton建议审查RBAC策略并实施网络政策以防止攻击。
关键要点
-
Kubernetes存在一个漏洞，允许具有读取权限的用户通过特定服务账户访问Kubelet，执行任意命令。
-
安全研究员Graham Helton发现该漏洞，并建议审查RBAC策略以防止攻击。
-
该漏洞利用了nodes/proxy GET资源的权限，允许访问Kubelet的内部API。
-
Helton指出，Kubernetes的审计策略不会记录通过Kubelet API直接连接执行的命令。
-
建议采取措施，包括审计RBAC策略、限制对Kubelet端口的访问、以及计划迁移到KEP-2862的细粒度权限。
-
行业观察者指出，Kubernetes工作负载的复杂性在2026年与2016年有显著不同，需考虑架构隔离。
延伸解读
漏洞背景与影响
Kubernetes的这一漏洞源于nodes/proxy GET资源的权限设计，允许具有读取权限的用户执行任意命令。这一特性虽然是设计使然，但却可能导致严重的安全隐患，尤其是在多租户环境中，攻击者可以利用这一点对集群造成毁灭性影响。
审计与监控的局限性
Kubernetes的审计策略未能记录通过Kubelet API直接执行的命令，这使得恶意行为难以追踪。用户应重视这一点，定期审查RBAC策略，并考虑实施更严格的监控措施，以提高安全性。
未来的解决方案
KEP-2862的推出将为Kubernetes提供细粒度的权限控制，预计在Kubernetes 1.36版本中实现。用户应提前规划迁移，以确保在新版本发布后能够有效利用这一改进，降低潜在的安全风险。
延伸问答
Kubernetes的漏洞是什么？
Kubernetes的漏洞允许具有读取权限的用户通过特定服务账户访问Kubelet，执行任意命令。
Graham Helton对Kubernetes漏洞有什么建议？
Helton建议审查RBAC策略、限制对Kubelet端口的访问，并计划迁移到KEP-2862的细粒度权限。
Kubernetes的审计策略有什么限制？
Kubernetes的审计策略不会记录通过Kubelet API直接连接执行的命令。
如何防止Kubernetes集群被攻击？
可以审计RBAC策略、限制Kubelet端口访问、实施网络政策，并计划迁移到KEP-2862。
Kubernetes集群的复杂性在2026年与2016年有什么不同？
2026年的Kubernetes工作负载更复杂，包括AI训练管道、金融交易系统和医疗应用等。
什么是KEP-2862？
KEP-2862是一个扩展，旨在提供细粒度的Kubelet API授权，预计将在Kubernetes 1.36版本中发布。
